privia-security/adzeroZerologon AutoExploit Tool | CVE-2020-1472
취약한 암호화 프로토콜이 netlogon 프로토콜의 인증 메커니즘 대신 적용됩니다. 인증되지 않은 공격자는 Zerologon 취약점을 사용하여 도메인 컨트롤러 컴퓨터의 컴퓨터 계정 비밀번호를 빈 값(null)으로 생성할 수 있습니다 (NT hash = 31d6cfe0d16ae931b73c59d7e0c089c0). 이렇게 공격자는 생성한 자격 증명으로 도메인 컨트롤러에 접근하여 다른 사용자의 자격 증명을 획득할 수 있습니다. 권한 있는 사용자의 자격 증명이 획득되면 도메인 컨트롤러에서 높은 권한으로 세션을 얻을 수 있습니다.
python3 -m venv env
source env/bin/activate
pip install -r requirements.txt
python3 ADZero.py dc_ip
Privia Security 팀이 개발한 ADZero 도구를 사용하여 Zerologon 취약점이 있는 도메인 컨트롤러에서 nt authority\system 권한으로 Command Prompt 세션을 얻을 수 있습니다.
python3 ADZero.py dc_ip 명령을 실행하면 dc_ip IP 주소를 가진 도메인 컨트롤러에서 Command Prompt 세션을 얻을 수 있습니다.
ADZero 도구는 대상 도메인 컨트롤러의 dc_name(컴퓨터 이름) 및 dom_name(도메인 이름) 정보를 얻기 위해 자격 증명이 null인 SMB 로그인 요청을 보냅니다. 응답에서 도메인 컨트롤러의 dc_name(컴퓨터 이름) 및 dom_name(도메인) 정보를 얻을 수 있습니다.
dc_name(컴퓨터 이름), com_name(컴퓨터 이름 끝에 $ 기호를 추가하여 생성된 컴퓨터 계정) 및 dc_ip(도메인 컨트롤러 IP 주소) 정보를 사용하여 취약점이 트리거됩니다. Netlogon Remote 프로토콜에 요청을 보내 취약점이 트리거되면 com_name(컴퓨터 계정)의 비밀번호가 빈 값으로 생성됩니다 (NT hash = 31d6cfe0d16ae931b73c59d7e0c089c0).
Impacket 모듈 중 하나인 secretdump.py 모듈을 사용하여 com_name(컴퓨터 계정), dom_name, dc_ip 및 com_name에 대해 생성된 빈 비밀번호 정보로 도메인 컨트롤러에서 Administrator 사용자의 비밀번호 정보를 LM:NTLM 해시로 덤프합니다. 또한 덤프 과정에서 얻은 LM:NTLM 해시는 out이라는 파일에 기록됩니다.
획득한 LM:NTLM 해시를 Impacket 모듈 중 smbexec.py 모듈과 함께 사용하면 도메인 컨트롤러에서 Command Prompt 세션을 얻을 수 있습니다. LM:NTLM 해시 값을 비밀번호로 사용하는 기술을 Pass The Hash라고 합니다. 도메인 컨트롤러에서 meterpreter 세션은 out 파일에 기록된 LM:NTLM 해시 값을 Metasploit Framework의 exploit/windows/smb/psexec 익스플로잇 모듈과 함께 사용하여 얻을 수 있습니다.
